Ascension 2024: fuite de données chez un partenaire (437 000 personnes touchées)

Selon la notification réglementaire d’Ascension, des informations sur des patients ont été communiquées par inadvertance à un ancien partenaire commercial et ont probablement été dérobées en raison d’une vulnérabilité dans un logiciel tiers utilisé par ce partenaire. L’enquête a abouti à cette conclusion le 21 janvier 2025.

La fiche du HHS OCR associe Ascension Health, le total de 437 329 personnes et la date de signalement du 28 avril 2025 à un même événement. Des publications indépendantes spécialisées dans la sécurité du secteur de la santé corroborent la chronologie, les catégories de données concernées et le fait que les propres systèmes d’Ascension n’ont pas été touchés.

Ascension a établi avoir communiqué par inadvertance certaines informations sur des patients à l’ancien partenaire commercial. Une personne non autorisée a exploité une vulnérabilité dans un logiciel tiers utilisé par ce partenaire et a probablement obtenu les données.

L’avis public ne révèle ni l’identité de l’ancien partenaire, ni le nom du produit vulnérable, ni la date à laquelle l’accès non autorisé a commencé, ni l’identité du responsable. Ascension précise que son propre réseau et ses propres systèmes n’ont pas été compromis lors de cet incident.

Selon les personnes, les informations pourraient avoir compris les noms, adresses, numéros de téléphone, adresses e-mail, dates de naissance, appartenance raciale, genre et numéros de sécurité sociale. Les catégories de données communiquées ne concernaient pas nécessairement toutes les personnes touchées.

Les données cliniques pourraient avoir compris les lieux de prise en charge, les noms des médecins, les dates d’admission et de sortie, les codes de diagnostic et de facturation, les numéros de dossier médical et les noms des compagnies d’assurance. Les mots de passe, les cartes de paiement et les informations sur les comptes bancaires ne figurent pas dans cette liste, car l’avis officiel ne les mentionne pas.

Un numéro de sécurité sociale associé à des coordonnées et à des informations telles que la date de naissance peut accroître le risque d’usurpation d’identité, de demandes frauduleuses d’ouverture de compte et d’escroqueries ciblées. Comme bon nombre de ces informations ne changent pas, une surveillance sur une période plus longue peut être indiquée.

Une personne qui connaît les détails d’une visite réelle à l’hôpital, le nom d’un médecin, un diagnostic ou des informations d’assurance peut rédiger un message convaincant en prétendant représenter Ascension, une clinique ou un assureur. L’exactitude des informations médicales ne prouve pas que l’expéditeur est habilité à vous contacter.

Après avoir pris connaissance de l’incident, Ascension a ouvert une enquête, examiné ses processus de partage d’informations et déclaré travailler à la mise en place de mesures de protection supplémentaires. Des notifications écrites ont été envoyées aux personnes touchées.

L’organisation a proposé aux destinataires remplissant les conditions requises deux ans de services de surveillance du crédit, de conseil en matière de fraude et d’assistance pour rétablir leur situation après une usurpation d’identité. L’avis public n’indique pas qu’un usage abusif lié à l’incident ait été formellement établi.

Si vous avez reçu une notification, examinez régulièrement vos rapports de crédit, les demandes de renseignements liées à l’ouverture de nouveaux comptes, vos décomptes d’assurance maladie et vos factures médicales pour repérer des services ou des activités que vous ne reconnaissez pas. Signalez rapidement toute anomalie aux organismes concernés.

Ne fournissez pas de numéro de sécurité sociale, de mot de passe, d’informations de paiement ou de code de vérification en réponse à un message inattendu prétendant provenir d’Ascension, d’un médecin ou d’un assureur. Vérifiez la demande par un canal officiel dont vous avez trouvé les coordonnées vous-même, plutôt qu’au moyen d’un lien ou d’un numéro figurant dans le message.